Escalada de privilegios en macOS ## ¿Qué es la escalada de privilegios? La escalada de privilegios ocurre cuando un usuario o proceso obtiene más permisos de los que debería tener. En macOS, esto generalmente significa pasar de una cuenta de usuario estándar a acceso de nivel root (administrador), lo que permite el control total del sistema. ## ¿Por qué es importante en macOS? macOS está diseñado con múltiples capas de seguridad, pero aun así puede ser vulnerable a técnicas de escalada de privilegios. Comprender estas técnicas ayuda a: - Proteger sistemas contra atacantes - Identificar configuraciones incorrectas - Prepararse para exámenes de certificación en seguridad - Realizar pruebas de penetración autorizadas ## Conceptos clave **Root y sudo** En macOS, el usuario root tiene acceso sin restricciones al sistema. El comando `sudo` permite a los usuarios autorizados ejecutar comandos como root. Si un atacante puede abusar de `sudo`, puede escalar privilegios. **SUID y SGID** Los archivos con el bit SUID (Set User ID) establecido se ejecutan con los permisos del propietario del archivo, no del usuario que lo ejecuta. Si un binario SUID es propiedad de root y puede ser manipulado, puede ser explotado para obtener acceso de root. ## Técnicas comunes de escalada de privilegios en macOS 1. **Abuso de sudo**: Explotar configuraciones incorrectas en `/etc/sudoers` que permiten a los usuarios ejecutar comandos privilegiados sin contraseña. 2. **Secuestro de PATH**: Colocar un ejecutable malicioso en un directorio que aparece antes en la variable de entorno PATH, engañando al sistema para que ejecute el archivo incorrecto. 3. **Inyección de dylib**: macOS utiliza bibliotecas de enlace dinámico (dylibs). Si una aplicación carga una dylib desde una ubicación modificable, un atacante puede reemplazarla con código malicioso. 4. **Variables de entorno**: Ciertas variables de entorno pueden influir en el comportamiento de los programas. Manipularlas puede llevar a la ejecución de código no autorizado con privilegios elevados. 5. **Vulnerabilidades del kernel**: Las debilidades en el propio kernel de macOS a veces pueden ser explotadas para obtener acceso de nivel root. ## Protecciones integradas en macOS macOS incluye varias características de seguridad para limitar la escalada de privilegios: - **SIP (Protección de Integridad del Sistema)**: Restringe qué partes del sistema de archivos pueden ser modificadas, incluso por el usuario root. - **Gatekeeper**: Controla qué aplicaciones pueden ejecutarse verificando firmas de desarrolladores. - **TCC (Transparencia, Consentimiento y Control)**: Gestiona los permisos de las aplicaciones para acceder a datos sensibles. - **Sandbox de aplicaciones**: Limita lo que las aplicaciones pueden hacer y a qué recursos pueden acceder. ## Ejemplo práctico ```figure: @title Flujo de escalada de privilegios mediante abuso de sudo @caption Un atacante aprovecha una entrada mal configurada en sudoers para ejecutar un shell como root. [Usuario estándar] | v sudo /bin/bash <-- permitido por entrada incorrecta en sudoers | v [Shell de root] ✓ escalada exitosa @source Ejemplo educativo — EducationPals ``` ## Buenas prácticas para defenderse - Revisar y restringir regularmente los permisos de `sudo` - Mantener macOS y todas las aplicaciones actualizadas - Habilitar y no deshabilitar SIP - Utilizar el principio de menor privilegio: otorgar solo los permisos necesarios - Monitorear registros del sistema en busca de actividad inusual ## Resumen La escalada de privilegios en macOS aprovecha configuraciones incorrectas, vulnerabilidades de software o debilidades del sistema para obtener permisos más elevados. Comprender cómo funcionan estos ataques es esencial tanto para los defensores como para los probadores de penetración éticos. Las protecciones integradas de macOS reducen significativamente el riesgo, pero ningún sistema es completamente inmune.No hay administrador, no hay problema: Cómo una cuenta estándar de macOS puede dejar ciego a tu EDR sin que nadie lo noteLa investigación de XM Cyber expone una técnica encadenada que aprovecha el comportamiento de confianza de macOS para descargar CrowdStrike, Kandji MDM y más sin un solo aviso de privilegios.Seguridad en macOSXM CyberDetección y Respuesta en EndpointsEscalada de PrivilegiosSam·Jun 26, 2026·5 min readLeer la historia